シンガポールのサイバーセキュリティ庁(CSA)は、F5がNGINX製品の重大な脆弱性3件に対応する緊急更新を公開したと告知しました。認証なしの遠隔攻撃でサービスが停止する恐れがあり、対象製品の利用者・管理者に即時更新を勧告しています。資料に公表日の記載はなく、影響の有無は製品のバージョンと設定によって異なります。
サービス停止の恐れ、コード実行には追加条件
3件はいずれも、脆弱性の深刻度を示すCVSS v4.0で10点満点中9.2です。CSAによると、認証なしの遠隔攻撃で、処理を担うワーカープロセスが異常終了する恐れがあります。
問題がある処理はそれぞれ異なります。
- CVE-2026-15176：alias・rewriteに関わるヒープバッファオーバーフローです。
- CVE-2026-97205：非同期ファイルI/O(AIO)・SSIに関わる、解放済みメモリの使用です。
- CVE-2026-93479：mapに関わるヒープバッファオーバーフローです。
いずれもサービス拒否、つまりサービスを利用できなくする攻撃につながる恐れがあります。一定条件下では、遠隔からコードを実行される恐れもあります。ただしCSAは、コード実行には影響する設定に加え、メモリ配置をランダム化する仕組みであるASLRの無効化、または回避が必要としています。
「認証なしで攻撃できる」ことと、「どの設定でもコードを実行される」ことは同じではありません。一方、コード実行の条件だけを見て、サービス停止のリスクまで対象外と判断しないことが重要です。
対象はNGINX本体以外にも広がる
CSAが挙げた影響対象には、次の製品・バージョンが含まれます。
- NGINX Plus：R33～R37ブランチ
- NGINX Open Source：1.30.5以下、1.31.6以下
- NGINX Ingress Controller：5.6.0～5.6.3
- NGINX Gateway Fabric：2.1.0～2.7.2、1.5.0～1.6.2
- NGINX Instance Manager：2.18.0～2.23.0
- F5 WAF for NGINX：5.9.0～5.15.0
- F5 DoS for NGINX：4.8.0～4.10.0
製品名だけでなく、版と設定を組み合わせて確認する必要があります。資料には修正済みバージョンの具体的な番号がないため、この一覧から更新先を推測せず、製品ごとの最新のセキュリティ更新版を確認してください。更新版の日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する：上記の製品・バージョンを使い、影響する設定がある会社です。更新対象の判定には、稼働中の版と設定の確認が必要です。
- 影響する：NGINX PlusやNGINX Open Sourceだけでなく、一覧にあるIngress ControllerやGateway Fabricなどを使う会社も確認対象です。NGINX本体だけの調査では足りません。
- 影響しない：対象外と断定できる個別のバージョン・設定の組み合わせは、提示された発表には書かれていません。一覧に見当たらないことだけで、対応不要とは判断しないでください。
